Kerngegevens
- Leverancier
- VMware (Broadcom)
- Product
- Brocade Fabric OS
- Soort software
- virtualisatie
- Getroffen versies
- Brocade Fabric OS ouder dan 10.0.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Brocade Fabric OS 10.0.1
- CVE gepubliceerd
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de REST API-beheerinterface van Brocade Fabric OS zit een fout waardoor speciaal samengestelde invoer wordt doorgegeven als systeemopdracht. Een ingelogde gebruiker kan hierdoor eigen opdrachten laten uitvoeren op het onderliggende systeem. Het gaat om versies van Fabric OS vóór 10.0.1.
Wie loopt risico?
Je loopt risico als je Brocade Fabric OS gebruikt in een versie vóór 10.0.1 en de REST API-beheerinterface bereikbaar is. Een aanvaller heeft inloggegevens nodig en moet zich in hetzelfde of een aangrenzend netwerk bevinden, dus het lek is niet rechtstreeks via internet te misbruiken. In de gegevens is geen actief misbruik of publiek beschikbare aanvalscode bekend.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van Brocade Fabric OS je gebruikt. Versies ouder dan 10.0.1 zijn getroffen.
Werk bij naar 10.0.1
Installeer Fabric OS 10.0.1, de versie waarin de leverancier het lek heeft opgelost. Volg daarbij het advies van Broadcom.
Beperk toegang tot het beheernetwerk
Zorg dat alleen vertrouwde beheerders en systemen de REST API-beheerinterface kunnen bereiken, bijvoorbeeld via een apart beheernetwerk.
Controleer accounts
Ga na welke accounts toegang hebben tot de beheerinterface en verwijder accounts die niet meer nodig zijn.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-87679 en CVE-2026-87681. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een commando-injectie (CWE-78) in de REST API-beheerinterface van Brocade Fabric OS. Invoerparameters worden onvoldoende gecontroleerd voordat ze in een systeemopdracht terechtkomen. Een geauthenticeerde gebruiker kan daardoor willekeurige systeemopdrachten uitvoeren. De CVSS 4.0-score is 8,5 met aanvalsroute aangrenzend, lage complexiteit en lage rechten, zonder gebruikersinteractie. De gevolgen voor vertrouwelijkheid en integriteit van het getroffen systeem zijn hoog.
CVSS-vector (versie 4.0, basisscore 8,5, bron: CNA)
CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-78 · Onjuiste neutralisatie van speciale elementen in een besturingssysteemopdracht (commando-injectie)
- Aanvalsroute
- Vanaf hetzelfde netwerk
- EPSS, kans op misbruik binnen 30 dagen
- 1,0%
- Aanvalscode openbaar
- Nee